浅析信息安全技术在中国铁通计费网中的应用

来源：计费&OSS世界作者：出处：巧巧读书 2007-06-04 进入讨论组

作者：刘迎伟中国铁通网络支撑中心计费处

中国铁通计费网从2001年7月开始建设，是一张由全国、省两级数据集中处理，全国、省、地市三级管理机构组成的树型拓扑结构专用网络（如图1所示），具有中国铁通语音业务的计费、结算等功能。

目前，承载的主要业务有国际来话、国际去话、国际转接、国际漫游卡业务计费结算，省间长途摊分结算，197300C、17990IP卡、800、95105、400等智能业务计费结算。

图1 中国铁通计费网网络层次示意图

中国铁通遵循统一规划、统一建设、统一软件版本的思想，经过一期、二期、紧急扩容等工程建设，共建成1个全国计费结算中心，30个省计费账务中心（除西藏），300多个地市中心，3400多个营业厅（营业点），7900多台营业终端计算机。网络拓扑结构如图2。

点击查看大图

图2中国铁通计费管理网网络拓扑结构图

计费网采用的主要信息安全技术

作为提供中国铁通收入保障重要数据的计费网，由于数据的敏感性，从设计规划初期就高度重视信息安全，并且逐步实施了多种信息安全技术。中国铁通出于投资回报的考虑，目前只采用最必要的且与数据损失成本相适应的信息安全技术。同时，在管理方面，不断建立健全各项安全管理规章制度，调动信息安全管理中最活跃因素中人的积极因素，保证各项技术手段行之有效的落实和发挥作用。这些措施都保证了计费网的信息安全，经受了多次安全攻击的考验，为公司的经营活动提供了有力的支撑。

计费网信息安全的建设紧密结合了网络结构特点和公司总分制组织机构的特色，从网络与系统接入控制、用户管理与资源访问、病毒防范与动态安全管理以及灾难预防与系统恢复等方面构筑了四道安全屏障，有效保护了系统的安全和网络的稳定。

1．网络与系统接入控制

网络与系统接入控制的目的是解决计费网的边界安全与通信安全，防止非法用户进入系统，采用的技术有4种。

（1）物理安全

计费网骨干层的主机、网络设备均安装在中国铁通的机房内，并由内部员工进行维护。计费机房符合公司一类机房的要求，即从电力供应、消防灭火装置、恒温恒湿控制等方面保证计费机房内的设备连续平稳运行，并在交流电停电、火灾等情况下仍可保护设备的安全。这些基础设施保障了计费网设备的物理环境安全。

中国铁通“三不动”（即对设备性能状态不清楚不动；正在使用中的设备不动；检修前不联系好不动。）的电路纪律、机房外来人员登记制度、机房巡检制度是管理方面对物理安全的保障。

（2）物理隔离技术

从企业外部和内部实现计费网与其他网络物理隔离。中国铁通计费网是企业的内部专网，基本与外网隔离。在企业内部，生产网与办公网是物理隔离的，禁止员工使用生产设备通过拨号或其他方式访问互联网。

（3）路由控制

在全国中心路由器上通过ACL（访问控制列表）等技术防止省与省之间的访问。中国铁通计费网是以全国中心为单一根结点的树型广域计算机网，为适应集团总部－省公司－地市公司的垂直管理体系，信息也是由根结点到叶结点垂直流动。出于管理的需要，省与省之间禁止水平访问，以保护各省计费账务中心的数据。

（4）防火墙技术

在与外网物理连接的边界结点设置防火墙以防止外部用户对计费网以及计费网用户对外网的非法访问。中国铁通使用的是百兆速率的基于通用操作系统的防火墙硬件设备。如图2所示，银行代收系统与计费网之间设有防火墙，以保证银行和中国铁通的专网之间的访问是按约定端口进行的、是安全的，具有包过滤、封堵禁止的访问行为、记录通过防火墙的信息和活动等功能。

用户管理与资源访问

（1）用户管理

基于三级的维护体制，通过设置用户组等方式，使用户的角色与操作人员的职责范围一一对应。例如，全国计费中心维护人员掌握骨干层面主机、路由器等设备的访问权；省计费中心维护人员只能修改省中心主机、路由器的参数；厂商技术人员需要访问主机诊断故障时，仅临时授予访问的权限，故障诊断完则立即删除用户或更改密码。

（2）身份认证与口令管理

操作人员对计算机系统的访问通过口令举行身份认证。口令安全管理按照安全管理组口令保管员、口令使用者（超级用户管理员、普通使用者）两个层次、三种角色构成口令安全管理体系框架。口令长度须在9～15位之间，并且由字母、数字及各种特殊字符共同组成。每月定期修改口令。

（3）数据安全

为保证数据安全，特别是数据库中用户资料、计费详单、账务信息、销账记录等数据的完整、保密、可用，采用“0＋1”方式定期备份数据库事务日志、数据库内容的安全措施。利用严格的用户身份认证鉴别、访问控制技术控制对数据库的后台访问。

病毒防范与动态安全管理

（1）病毒防范技术

技术上，在所有PC机上安装统一配置的网络版防毒软件来防毒，并且定期更新病毒特征库和全面杀毒以及下载操作系统安全补丁；管理上，使用外来文件时必须执行查毒、杀毒程序，切断病毒利用可移动媒介传播的途径，防止感染病毒。当发现计算机感染病毒时，立即拔掉网线，断开与计费网的连接，在查杀病毒确保无毒之后才能重新连到计费网。

（2）动态安全管理技术

主要用人工检测辅以简易的安全漏洞扫描工具的方式，寻找安全漏洞、发现安全隐患，不断完善安全防护体系。例如，安全管理组口令保管员定期抽查用户口令的更新情况；系统管理员定期查看日志；网管员每天监控网络流量，如有异常，则采取屏蔽地址的方式，以防止病毒或黑客攻击。

（3）安全审计

所有应用系统级操作产生的系统操作日志必须在线保留6个月、离线保留2年。值班日志、各项工作记录、各项备份记录等资料也进行保留。通过分析各类访问记录、系统日志，安全审计可以发现违反安全策略的活动，不但有助于系统管理员确保系统及其资源免遭非法授权用户的侵害，同时还能有助于数据恢复。

灾难预防与系统恢复

（1）双机热备

在用的主机设备均采用双机热备技术。如在HP小型机上配置MC/ServiceGuard软件，当一台主机宕机时，能迅速将应用程序切换到备用机上，保持业务运行的高可用性。

（2）磁带备份

计费、营业、账务、结算等系统均配置磁带库，每天进行一次增量备份、每周进行一次全备。当磁盘阵列上的数据发生损坏时，能迅速从备份磁带中恢复数据。

（3）网络备份

路由器、交换机等主要网络设备均采用1+1冗余备份，全国计费中心到省中心，省中心到地市中心的路由均为一主一备双路由设备。

（4）应急预案

当出现网络受到病毒、黑客恶意攻击，计算机主机（运行重要业务的小型机）出现单机或双机无法启动，数据库软件崩溃，自然灾害、人为破坏事故等重大突发事件时，将启动相应的应急预案，以最大程度降低这些事件对计费网造成的损失和影响。全国计费中心、省计费中心均根据所维护的范围制定了详细的技术预案。

（5）容灾技术

考虑到建设投资巨大，中国铁通计费网目前没有建设全国容灾中心。但采取了数据备份磁带存放在不同楼宇的措施，降低因计费中心机房发生火灾、水灾等灾害时数据磁带毁损的可能性，使计费网具备了初级的容灾能力。

计费网信息安全的薄弱环节

虽然中国铁通计费网的四道安全防线能防止、阻止、检测、纠正常见的安全攻击，但是从技术和管理两方面都存在着薄弱环节。随着技术的发展以及安全攻击方式的层出不穷，计费网整体安全防御体系的动态调整略显不足，为信息安全留下了漏洞和隐患。具体有以下几点：

（1）缺乏实时入侵检测手段和技术，不能及时发现各种可能的攻击企图。

（2）员工可能会绕过防火墙的限制，利用办公电话私自拨号上网，很可能遭受黑客攻击、泄漏内部信息。

（3）计费系统与客服系统有直接的物理连接，而客服系统与互联网相连。虽然客服系统与互联网之间设有防火墙，但防火墙无法防止病毒入侵，而且为黑客攻击提供了一定的可能性，存在安全隐患。

（4）容灾能力不足，没有全国容灾中心或数据备份中心，一旦全国中心或省中心所在城市发生地震等大的灾害，该点的数据会全部丢失，业务也将瘫痪。

加强计费网信息安全的改进建议

针对上述薄弱环节，以及从建立系统的安全防御体系的角度考虑，提出以下几点改进建议：

（1）引进自动入侵检测技术和漏洞扫描软件，变被动应对为主动防护。

（2）加强信息安全管理，杜绝内部人员随意访问互联网等行为，减少安全漏洞和隐患。

（3）在计费网的边界、内部各级之间加强访问控制管理。如在全国中心路由器与省中心路由器之间增设防火墙，在客服系统与计费系统之间设立防火墙，降低非法访问的安全风险，更好地保护核心数据。

（4）建立电信级的全国容灾中心，采用光通道传输技术，实现数据的实时或准实时同步，详见图3。

点击查看大图

图3电信级全国容灾中心示意图

结束语

信息安全技术的应用是一个与时俱进的过程。在“道高一尺，魔高一丈”的对抗中，企业采取何种信息安全技术将是企业投资与信息风险之间博弈的结果。如果追求最安全的效果，将需要巨大的投资。况且安全只是一个相对的概念，只有相对的安全没有绝对的安全。对中国铁通而言，在可承受的风险损失范围内或在信息安全的部分环节上追求较安全的技术是较为可行的策略。(耿文欣编辑)

观看地址： http://www.qqread.com/network-special/r315237.html